HTTP нотолгоо сонгох: гарцын бүртгэл эсвэл аппын лог

Вэб хяналт нь зорилгоор эхэлдэг, барих цэгээр биш. Идэвхтэй клиентүүдийг тоолох, API дуудлагын цагийг хэмжих, мессежийн агуулгыг унших нь тус бүр өөр нотолгоо, өөр нууцлалын шийдвэр шаарддаг. Хамгаалагдсан HTTPS дамжуулдаг гарц нь хуудасны агуулгыг биш, холболтыг хардаг. Буруу давхаргыг сонговол баялаг харагдах боловч юунд ч хариулахгүй өгөгдөл гарна.

Өгөгдлийн эх сурвалжаас өмнө асуултад нэр өг

Өгөгдөл дэмжих ёстой үйл ажиллагааны шийдвэрээс эхэл. Боломжийн асуултад тоо, цаг хэрэгтэй, хүсэлтийн асуултад зам, төлөвийн код хэрэгтэй, агуулгын асуултад мессежийн агуулга хэрэгтэй. Дотогшлох алхам бүр мэдрэмтгий байдал, инженерийн төвөгцлийг нэмдэг. Цуглуулалт эхлэхээс өмнө үйлчилгээний эзэн, аюулгүй байдлын эзэн үзэгчид, зорилго, зохицуулалтыг зөвшөөрөх ёстой, учир нь туннель ажиллуулах нь тэр шийдвэр биш.

Асуултыг нэг өгүүлбэрээр бичээд цуглуулах төлөвлөгөөний дэргэд барь. Энэ бол хамрах хүрээний цорын ганц найдвартай хяналт.

Гарц юуг харуулж чадах, юуг чадахгүй

Зөв хамгаалагдсан HTTPS дамжуулдаг гарц ихэвчлэн хаяг, порт, эзлэхүүнийг хардаг бөгөөд хүсэлтийн мөр эсвэл агуулгыг биш.

conntrack -L -d 203.0.113.10 | head
tcpdump -ni vpn0 -c 20 'tcp port 443'

conntrack жагсаалт урсгал, хөрвүүлэлтийг харуулж, богино барилт уншиж болох аппын агуулгагүй пакетуудыг харуулна. Хөдөлгөөн урсаж байгаа эсэх, хэдий хэмжээ, ямар төгсгөлийн цэгүүдийн хооронд гэдэгт хариулахад энэ хангалттай. Энэ нь URL-ийн жагсаалт биш бөгөөд энгийн CONNECT прокси аппын TLS-ийг дуусгахгүйгээр шифрлэгдсэн солилцоог дамжуулдаг. Хэн нэгэн тэр байрлалаас хүсэлтийн зам амалж байвал аль бүрэлдэхүүн тайлж, хэний итгэл дор хийж байгааг асуу.

Аппын лог хүсэлтийн ихэнх асуултад хариулдаг

Таны ажиллуулдаг аппын хувьд түүний өөрийн дэмжигдсэн бүртгэл ихэвчлэн бусдын холболтыг тайлахгүйгээр хүсэлтийн түвшний асуултад хариулдаг.

curl -sS -o /dev/null -w "%{http_code} %{time_total}\n" https://app.example.com/health
tail -n 5 /var/log/nginx/access.log

Эрүүл мэндийн хүсэлт боломжийг клиентийн байрлалаас хэмждэг, хандалтын лог сервер аль хэдийн хадгалахаар сонгосон талбаруудыг бүртгэдэг. Даалгаврын хэрэгтэй талбаруудыг сонгоод бусад нь гадуур үлдээ, учир нь URL ч мэдрэмтгий параметр авч явж болно. Лог мөр нь тэр үйлчилгээний тухай нотолгоо, хэрэглэгч туннельээр хүрсэн бусад үйлчилгээ бүрийн тухай биш. Цуглуулалтыг нарийн барих нь хадгалалтын асуултыг ч жижиг барих тул шаардлагыг үүсгэсэн бодомын туршилтаас богино цонхыг тогтоо.

Тасалдал нь тусдаа итгэлийн загвар

Хэрэв мессежийн түвшний шалгалт үнэхээр шаардлагатай бол TLS тасалдал нь шинэ итгэмжлэгдсэн төгсгөлийн цэг, түгээж арчлах ёстой клиентийн итгэлийн гэрээг үүсгэдэг. Сертификатыг бэхэлдэг аппууд эвдэрнэ, оператор одоо аливаа серверийн түлхүүр шиг чухал хамгаалалттай хувийн түлхүүрүүдийг барьж байна. Цуглуулалтыг сертификатын баталгаажуулалтыг сулруулж, эсвэл сертификатаа бэхэлдэг аппыг засаж ажиллуулах нь аюулгүй байдлын хяналтыг лог мөрөөр солино. Итгэлийн хуваарилалт аль хэдийн удирдагддаг баримтжуулсан шалгалтын загварыг илүүд үз, мөн байгууллагын хувийн түлхүүрийг хуваалцсан бүхнээс гадуур барь.

Цуглуулалтын цонхны төгсгөлд тохиргоо болон түүний итгэлийн материалыг эзэдээр нь дамжуулан арилгаж, хадгалсан нотолгоог тохирсон бодлогоор устга. Заасан зорилгод хангалттай найдвартай мэдээлэл нь амжилтын шалгуур, боломжит хамгийн том барилт биш.